Un cryptonym è un nome in stile codice usato dai team di threat intelligence per identificare e monitorare uno specifico cluster di minaccia, attore, campagna o operazione. È progettato per essere breve, ricercabile e coerente tra report, note di caso e strumenti interni. Nel lavoro di sicurezza, un cryptonym non coincide con una prova di identità; è un'etichetta di riferimento che aiuta gli analisti a organizzare le evidenze e a confrontare l'attività nel tempo.
I cryptonym sono importanti perché gli attacchi informatici vengono spesso osservati in frammenti: email di phishing, campioni di malware, infrastruttura e comportamento dell'attaccante. Un nome stabile aiuta i difensori a collegare quei frammenti e a condividere i risultati senza confusione. È particolarmente utile quando più team stanno monitorando attività simili, poiché etichette duplicate o incoerenti possono nascondere relazioni e rallentare la risposta. Allo stesso tempo, i difensori dovrebbero considerare i cryptonym come una comodità, non come una conclusione di attribuzione; l'analisi reale dipende ancora da tattiche, tecniche, indicatori e contesto.